L'injection SQL consiste à insérer du SQL dans une entrée utilisateur pour détourner une requête construite par concaténation, afin de lire, modifier ou supprimer des données. La parade principale est d'utiliser des requêtes préparées avec paramètres, jamais la concaténation de données externes.
Exemple
// Dangereux
$sql = "SELECT * FROM users WHERE id = $id";